Cookie сессии

Автоматическая отправка удобна, но требует защиты от кражи, CSRF, слишком широкой области действия и устаревшей серверной сессии.

1. 01

   Cookie часто служит переносчиком идентификатора сессии; сам идентификатор обычно лишь ссылается на состояние, хранимое на сервере.

   Граница применимости: Передача идентификатора сессии через cookie.

2. 02

   Secure, HttpOnly и SameSite ограничивают разные риски и не заменяют друг друга: передачу по сети, чтение сценарием и межсайтовую отправку.

   Граница применимости: Уровни защиты cookie сессии.

1. Сократите Domain и Path.
2. Включите Secure и HttpOnly.
3. Выберите явный SameSite.

• Официальная документация

  Session Management Cheat Sheet

  OWASP Foundation · OWASP Cheat Sheet Series, checked 30 August 2026

  Описывает entropy, cookie transport, renewal после privilege change, timeouts, logout и server-side invalidation sessions.

  Открыть первоисточник ↗
• Первичная спецификация

  Cookies: HTTP State Management Mechanism

  Internet Engineering Task Force · RFC 10025, July 2026

  Текущий стандарт Cookie и Set-Cookie, включая Secure, HttpOnly, SameSite, prefixes и session-fixation considerations.

  Открыть первоисточник ↗